Saltar al contenido principal
Para obtener un , debe incluir el offline_access scope cuando inicie una solicitud de autenticación a través del endpoint /authorize. Asegúrese de habilitar Offline Access en su API. Para obtener más información, consulte Configuración de la API. Por ejemplo, si usa el Flujo de código de autorización, la solicitud de autenticación tendría el siguiente aspecto: El token de actualización se almacena en la sesión. Luego, cuando es necesario renovar una sesión (por ejemplo, porque ha transcurrido un período preconfigurado o el usuario intenta realizar una operación sensible), la aplicación usa el token de actualización en el backend para obtener un nuevo mediante el endpoint /oauth/token con grant_type=refresh_token. Una vez que el usuario se autentique correctamente, la aplicación será redirigida a redirect_uri, con un code como parte de la URL: {https://yourApp/callback}?code=BPPLN3Z4qCTvSNOy. Puede intercambiar este código por un mediante el endpoint /oauth/token. La respuesta debe incluir un token de acceso y un token de actualización. 
{
      "access_token": "eyJz93a...k4laUWw",
      "refresh_token": "GEbRxBN...edjnXbL",
      "token_type": "Bearer"
    }
Si solicita un Token de actualización para una aplicación móvil mediante el Cliente nativo correspondiente (que es público), no necesita enviar el client_secret en la solicitud, ya que solo se requiere para las aplicaciones confidenciales. Los tokens de actualización deben almacenarse de forma segura en una aplicación, ya que permiten que un usuario permanezca autenticado prácticamente para siempre. Para obtener más información sobre cómo implementar esto mediante el Flujo de código de autorización, consulte nuestro tutorial, Llamar a una API mediante el Flujo de código de autorización. Para otros tipos de concesión, consulte Flujos de autenticación y autorización.

​
Personalizar MFA

La MFA personalizable con los flujos de Resource Owner Password Grant, integrado o Token de actualización está en Early Access. Al usar esta función, aceptas los términos aplicables de la prueba gratuita del Master Subscription Agreement de Okta. Para obtener más información sobre las etapas de lanzamiento de Auth0, consulta Product Release Stages. Para participar en el acceso anticipado, ponte en contacto con Auth0 Support.
La MFA personalizable permite a los usuarios inscribirse y verificarse con los factores compatibles con tu aplicación que elijan. Durante la autenticación en el endpoint oauth/token, la respuesta devuelve el error mfa_required, que incluye el mfa_token para usar la API de MFA y el parámetro mfa_requirements con una lista de autenticadores: 
{
  "error": "mfa_required",
  "error_description": "Multifactor authentication required",
  "mfa_token": "Fe26...Ha",
  "mfa_requirements": {
    "challenge": [
      { "type": "otp" },
      { "type": "push-notification" },
      { "type": "phone" },
      { "type": "recovery-code" }
      { "type": "email"} //solo funciona con desafío
    ]
  }
}
Utilice mfa_token para llamar al endpoint mfa/authenticator y obtener una lista de todos los factores que el usuario tiene inscritos, y haga coincidir el tipo con el que admite su aplicación. También debe obtener el authenticator_type correspondiente para emitir desafíos: 
[
  {
    "type": "recovery-code",
    "id": "recovery-code|dev_qpOkGUOxBpw6R16t",
    "authenticator_type": "recovery-code",
    "active": true
  },
  {
    "type": "otp",
    "id": "totp|dev_6NWz8awwC8brh2dN",
    "authenticator_type": "otp",
    "active": true
  }
]
Exija completar el desafío de MFA llamando al endpoint request/mfa/challenge. Personalice aún más su flujo de MFA con Auth0 Actions. Para obtener más información, consulte Activadores de Actions: post-challenge - Objeto de API.

​
Más información